NIS2 Lietuvoje: ką organizacijai reikia įgyvendinti pagal KSĮ

NIS2 (Direktyva (ES) 2022/2555) plečia buvusią NIS direktyvą — įtraukia daugiau sektorių, griežtina vadovybės atsakomybę, incidentų pranešimo terminus ir tiekimo grandinės valdymą. Lietuvoje šie reikalavimai perkelti į KSĮ ir susijusius poįstatyminius aktus.

Praktiškai — organizacija Lietuvoje pirmiausia remiasi KSĮ ir Kibernetinio saugumo subjektų registro statusu, o į NIS2 tekstą žiūri, kai reikia suprasti platesnį ES kontekstą arba tarptautinius partnerius.

NIS2 apima esminius (essential) ir svarbius (important) subjektus 18-oje sektorių: energetika, transportas, bankininkystė, sveikatos apsauga, geriamasis vanduo, skaitmeninė infrastruktūra, viešojo administravimo subjektai, pašto paslaugos, atliekų tvarkymas, gamyba, chemija, maistas ir kt. Taikymas paprastai priklauso nuo sektoriaus ir įmonės dydžio.

Galutinį statusą Lietuvoje nustato Nacionalinis kibernetinio saugumo centras (NKSC) per Kibernetinio saugumo subjektų registrą. Prieš pradedant įgyvendinimą pirmiausia patikrinkite registro statusą.

Esminiai subjektai turi griežtesnę priežiūrą (proaktyvūs patikrinimai) ir aukštesnes baudas; svarbūs subjektai — reaguojanti priežiūra po incidento ar skundo. Abiem grupėms taikomi tie patys techniniai ir organizaciniai reikalavimai; skiriasi tik priežiūros ir sankcijų režimas.

1. Patikrinti Kibernetinio saugumo subjektų registro statusą.
2. Paskirti atsakingus asmenis, vadovybės sprendimu patvirtinti valdymo modelį.
3. Atlikti rizikų vertinimą ir spragų (GAP) analizę pagal KSĮ.
4. Parengti privalomus dokumentus, procedūras, incidentų reagavimo planus.
5. Įdiegti technines priemones ir mokymus.
6. Atlikti nepriklausomą KSI auditą pagal NKSC metodiką.

ProKSI platforma valdo KSĮ / NIS2 dokumentus, atsakomybes, terminus, rizikas ir audito įrodymus vienoje vietoje. vCISO paslauga užtikrina, kad įgyvendinimas iš tikrųjų vyktų — ne tik atsirastų aplankas dokumentų.